登录

欢迎user新华三退出

简体中文

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 关于我们

DeDeCMS远程命令执行漏洞安全通告

【发布时间：2021-12-30】

新华三攻防实验室

2021/10/13


1. 漏洞综述

1.1 漏洞背景

DedeCMS 是织梦团队开发 PHP 网站管理系统，以简单、易用、高效为特色，组建出各种各样各具特色的网站，如地方门户、行业门户、政府及企事业站点等。近日，新华三攻防实验室威胁预警团队监测到网上出现了DedeCMS存在未授权远程命令执行漏洞，并及时进行了跟踪和分析。

目前该漏洞利用细节已在互联网公开，建议受影响用户及时排查并修复。

1.2 漏洞原理

该漏洞是由于include/common.func.php中定义的ShowMsg参数可控且过滤不严格导致，任何文件存在调用ShowMsg的情况下，可触发模板注入漏洞，攻击者可无需身份验证而直接访问该接口，发送恶意请求数据，实现命令执行，获取服务器权限。

2. 影响范围

DeDeCMS V5.8.1_Beta

3. 严重等级

高危

4. 处置方法

4.1官方补丁

1、目前官方已发布最新版本，请使用受影响版本的用户及时下载并安装，下载链接：https://github.com/dedecms/DedeCMS。

4.2 H3C解决方案

1、新华三安全设备防护方案

新华三IPS规则库将在1.0.151版本支持对该漏洞的识别，新华三全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。

2、新华三态势感知解决方案

新华三态势感知已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。

3、新华三云安全能力中心解决方案

新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。

新华三官网
联系我们